인간관계를 가장한 해킹이 가장 무섭다

한 여성이 네트워크 회사에 전화를 걸어 자기 계정에 패스워드를 잊어버렸다고 다급하게 말한다.

그녀는 오늘까지 아주 중요한 광고 프로젝트 데드라인이 걸려 있는데 이 데드라인을 못 지키면 회사에서 해고당할 거라는 말도 덧붙인다.

전화를 받은 네트워크 회사 직원은 그 여자를 가엾게 여겨 재빨리 패스워드를 리셋 시킨다.

이 순간, 외부 해커들이 회사 네트워크로 들어오는 통로를 훤히 열어준 셈이다.

(이 전화를 건 여성이 전문 해커일 수도 있다.) 

한편, 회사 건물 뒤 쓰레기 통엔 회사의 재활용 문서들이 담겨 있다.

이 재활용 문서에는 직원들의 이름, 직위, 전화번호, 마케팅 계획, 심지어는 회사의 재정 상태까지 소상히 찍힌 종이들이 있다.

모두 공짜로, 아무 의심도 받지 않고 얻어갈 수 있다.

해커나 산업 스파이들은 거의 매일 남의 기업 네트워크를 넘나들고 있다.

최근 컴퓨터 보안 연구소와 FBI가 공동으로 조사한 바에 따르면 미국 내 기업 503곳 중 90%가 작년 한해 불법적인 네트워크 침입을 경험했다고 한다.

한 가지 재미있는 사실은 모든 해커들이 기업 네트워크의 패스워드를 알아내기 위해 컴퓨터 앞에 하루종일 앉아 있거나 크랙 소프트웨어를 이용하지는 않는다는 것이다.

이들 중 상당수는, 놀랍게도, 전화를 걸어 직접 물어 본다고 한다.

미 재무부의 선임 기술 연구원으로 일하고 있는 키스 로디스는 다음과 같이 설명했다.

"기업의 네트워크을 기술적으로 뚫는 방법은 얼마든지 있습니다.

하지만 그 기업의 직원들을 통해 네트워크에 접근하는 것이 훨씬 쉽죠.

즉, 직원들을 속여 패스워드를 알아내는 것이 해커들에겐 더 손쉬운 작업이란 것입니다." 

"회사는 생산성을 향상시키기 위해 직원들을 교육하지만, 회사의 보안을 지키기 위해 교육하는 경우는 무척 드뭅니다.

결국, 직원들의 보안 의식은 크게 떨어지게 되고 해커들은 이 점을 노립니다.

해커들은 사회적이고 인간적인 ‘네트워크’를 이용해 피해자들에게 접근하죠.

우리는 이것을 해커들의 ‘사회적 엔지니어링(social engineering)’이라고 부릅니다." 

"주목해야 할 것은 이런 식의 접근이 거의 항상 성공한다는 겁니다.

그러함에 불구하고 이런 사회적 해킹에 대해 염려하고 있는 회사는 거의 찾아볼 수가 없어요." 

회사의 방화벽이나 VPN, 네트워크 모니터 소프트웨어들이 아무리 잘 작동되고 있어도 직원의 실수 한번이면 모든 보안 체계는 허물어지고 만다.

모든 사회적 엔지니어링은 인간적 관계를 통해 일어난다.

아는 사람에게 e메일을 보내거나 모르는 사람과 전화통화를 할 때, 혹은 일과 뒤 선술집에서 회사 프로젝트에 대해 이야기를 할 때 등, 보안 유출은 언제든 발생할 수 있다.

문제는 당사자들이 자신을 통해 보안 정보가 새나갈 수 있다는 사실을 모른다는 점이다.

특히 이런 보안에 대한 무지는 외부인들의 접근을 더욱 쉽게 해준다.

트루시큐어(TruSecure)의 보안 평가 관리 전문가로 활동하고 있는 폴 로버트슨은 다음과 같은 예를 들었다.

"누군가 회사 문 밖에서 물건이 잔뜩 쌓인 손수레를 들고 서 있으면 안에 있는 직원들은 별 의심 없이 문을 열어 줍니다.

당연히 물건 배달 온 사람으로 생각하는 거죠.

혹은 빌딩 밖에서 담배를 피우고 있는 직원들 틈에 끼어 같이 담배를 피우는 척 하다가 이들이 빌딩 안으로 들어갈 때 함께 따라 들어가는 것도 쉬운 일이고요." 

즉, 타인에 대한 신뢰가 기업 보안에 큰 해를 끼칠 수 있다는 것이다.

IT 호스팅/아웃소싱 회사인 세르발리스 LLC의 에디 라비노비치는 다음과 같이 말했다.

"우리는 직원들과 고객들에게 인간적 해킹의 위험성을 특히 강조합니다.

아무리 기술적으로 훌륭한 보안 도구를 갖고 있더라도 결국 그것을 다루는 것은 사람이니까요." 

라비노비치는 회사의 주변을 담당하고 있는 경비, 안내원, 헬프 데스크 직원들에게 보안에 대한 철저한 교육을 시키고 있다고 한다.

특히 회사 출입증을 받은 방문객이 이 출입증을 담배 피운다고 나가서 다른 사람에게 건네지 않는지 확인하도록 하고 있다고.

그리고 배달 서비스와 같은 유니폼을 입을 사람들이 출입할 경우, 이들이 어디에 약속이 있는지 반드시 확인토록 하고 있다.

보안 컨설팅 회사인 립테크는 현재 고객 기업들을 위해 ‘사회적 엔지니어링’으로 보안이 유린되는 것을 직접 시행해 보여주고 있다.

립테크의 운영 전문가인 브라이언 던피는 다음과 같이 말했다.

"저희가 시도한 바로는 (사회적 엔지니어링에) 전혀 어려움이 없었습니다.

대부분의 기업들이 이런 방법으로 쉽게 뚫리더군요.

우린 이런 컨설팅이 인간적 해킹을 믿지 않는 기업들에게 경각심을 일깨워 주길 바랍니다."